[论文解读] On the hardness of the Learning with Errors problem with a discrete reproducible error distribution

Filipp Valovich|arXiv (Cornell University)|May 6, 2016

Cryptography and Data Security被引用 3

一句话总结

本论文在误差服从对称 Skellam 分布的条件下，建立了 Learning with Errors (LWE) 问题的平均情况下硬度，利用了损失码和一种保持样本的搜索-决策归约。其主要贡献是提出了一种后量子密码学协议，用于在分布式模型中实现差分隐私数据分析，其中相同的 Skellam 噪声同时确保了密码学安全性和差分隐私，实现了最优精度，并具有紧密的安全-精度权衡。

ABSTRACT

In this work we show that the hardness of the Learning with Errors problem with errors taken from the discrete Gaussian distribution implies the hardness of the Learning with Errors problem with errors taken from the symmetric Skellam distribution. Due to the sample preserving search-to-decision reduction by Micciancio and Mol the same result applies to the decisional version of the problem. Thus, we provide a variant of the Learning with Errors problem that is hard based on conjecturally hard lattice problems and uses a discrete error distribution that is similar to the continuous Gaussian distribution in that it is closed under convolution. As an application of this result we construct a post-quantum cryptographic protocol for differentially private data anlysis in the distributed model. The security of this protocol is based on the hardness of the new variant of the Decisional Learning with Errors problem. A feature of this protocol is the use of the same noise for security and for differential privacy resulting in an efficiency boost.

研究动机与目标

• 在误差分布为对称 Skellam 分布（与标准离散高斯不同，具有可重现性和离散性）的条件下，建立 LWE 问题的平均情况下硬度。
• 在分布式环境中，实现一种后量子、差分隐私的数据分析协议，使得密码学安全性和隐私性通过同一噪声同时实现。
• 通过引入一种具有有利代数和概率性质的新误差分布，减少 LWE 基密码学中对离散高斯分布的依赖。
• 证明 Skellam 分布支持一种保持样本的搜索-决策归约，从而将 LWE 的硬度扩展到该新误差模型下的决策变体。
• 基于新的 LWE 变体构建一种私有流聚合（PSA）方案，使得在分布式环境中噪声生成同时具备安全性和隐私保护性。

提出的方法

• 作者利用先前工作的损失码构造了从最坏情况到平均情况的归约，表明在对称 Skellam 误差下求解 LWE 问题意味着求解最坏情况下的格问题 SIVP 和 GAPSVP。
• 将误差分布定义为对称 Skellam 分布 Sk_μ，其方差为 μ = (ρq)²/4，以确保可重现性及适合密码学操作的离散支撑。
• 应用保持样本的搜索-决策归约，表明在 Skellam 误差下的 LWE 决策问题与搜索问题具有相同的困难性。
• 协议中使用相同的 Skellam 噪声同时实现安全性（基于 DLWE 假设）和差分隐私（基于 Skellam 机制），避免了对独立噪声源的需求。
• 将安全参数 κ 设为 μ/n = λ²κ，以确保噪声足够大以抵御量子攻击，同时在分布式噪声聚合中保持高效性。
• 在顺序组合下分析最终统计量的精度，通过 β 和 δ 的对数项推导出 (α, β)-精度的界。

实验结果

研究问题

• RQ1 LWE 问题的硬度是否可以在一种不同于离散高斯的离散、可重现误差分布下被建立？
• RQ2 对称 Skellam 分布是否支持在 LWE 设置下的保持样本的搜索-决策归约？
• RQ3 是否可以使用单一噪声分布，在分布式协议中同时确保密码学安全性和差分隐私？
• RQ4 在 LWE 假设下，维持硬度所需的 Skellam 分布最小方差是多少？
• RQ5 Ring-LWE 问题是否可通过对 Skellam 误差实现硬度，且是否支持搜索-决策归约？

主要发现

• 当误差方差设为 (ρq)²/4 时，具有对称 Skellam 误差的 LWE 问题与最坏情况下的格问题 SIVP 和 GAPSVP 难度相当，近似因子为 Õ(λκ/ρ)。
• 由于 Miceanocio 和 Mol 提出的保持样本的搜索-决策归约，具有 Skellam 误差的 LWE 决策问题在相同假设下是困难的。
• 构建了一种后量子私有流聚合（PSA）方案，其中相同的 Skellam 噪声同时提供密码学安全性和差分隐私，实现计算意义上的 (ε,δ)-差分隐私。
• 协议在每次查询中达到 Ω(λ√(κn)) 的 (α, β)-精度，该精度在顺序组合下是最优的，并与已知下界一致。
• 对于一个具体实例（n=20,000 名用户，m=1000，ε=1，δ=0.1，κ=200），所需噪声方差满足硬度条件，从而确保了安全性和隐私性。
• 安全性与隐私性的权衡被形式化为：ε ≤ √(2m² log(1/δ)/(κn))，表明隐私损失与安全参数和用户数的平方根成反比。